加密 Speech-to-Text 资源

本页面演示如何在 Speech-to-Text 中设置加密密钥以加密 Speech-to-Text 资源。

Speech-to-Text 允许您提供 Cloud Key Management Service 加密密钥，并使用提供的密钥加密数据。如需详细了解加密，请参阅加密页面。

准备工作

1. 登录您的 Google Cloud 账号。如果您是 Google Cloud 新手，请创建一个账号来评估我们的产品在实际场景中的表现。新客户还可获享 $300 赠金，用于运行、测试和部署工作负载。

2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

3. 确保您的 Google Cloud 项目已启用结算功能。

4. 启用 Speech-to-Text API。

   启用 API

5. 确保您拥有项目的以下一个或多个角色： Cloud Speech Administrator

   检查角色

   1. 在 Google Cloud 控制台中，前往 IAM 页面。

      转到 IAM
   2. 选择项目。

   3. 在主账号列中，找到您的电子邮件地址所在的行。

      如果您的电子邮件地址不在此列，则表示您没有任何角色。

   4. 在您的电子邮件地址所在的行对应的角色列中，检查角色列表是否包含所需的角色。

   授予角色

   1. 在 Google Cloud 控制台中，前往 IAM 页面。

      转到 IAM
   2. 选择项目。
   3. 点击 授予访问权限。
   4. 在新的主账号字段中，输入您的电子邮件地址。
   5. 在选择角色列表中，选择一个角色。
   6. 如需授予其他角色，请点击 添加其他角色，然后添加其他各个角色。
   7. 点击 Save（保存）。
6. 安装 Google Cloud CLI。

7. 如需初始化 gcloud CLI，请运行以下命令：

   gcloud init

   注意：如果您之前安装了 gcloud CLI，请确保通过运行 gcloud components update 获得最新版本。

8. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

9. 确保您的 Google Cloud 项目已启用结算功能。

10. 启用 Speech-to-Text API。

    启用 API

11. 确保您拥有项目的以下一个或多个角色： Cloud Speech Administrator

    检查角色

    1. 在 Google Cloud 控制台中，前往 IAM 页面。

       转到 IAM
    2. 选择项目。

    3. 在主账号列中，找到您的电子邮件地址所在的行。

       如果您的电子邮件地址不在此列，则表示您没有任何角色。

    4. 在您的电子邮件地址所在的行对应的角色列中，检查角色列表是否包含所需的角色。

    授予角色

    1. 在 Google Cloud 控制台中，前往 IAM 页面。

       转到 IAM
    2. 选择项目。
    3. 点击 授予访问权限。
    4. 在新的主账号字段中，输入您的电子邮件地址。
    5. 在选择角色列表中，选择一个角色。
    6. 如需授予其他角色，请点击 添加其他角色，然后添加其他各个角色。
    7. 点击 Save（保存）。
12. 安装 Google Cloud CLI。

13. 如需初始化 gcloud CLI，请运行以下命令：

    gcloud init

    注意：如果您之前安装了 gcloud CLI，请确保通过运行 gcloud components update 获得最新版本。

客户端库可以使用应用默认凭据轻松进行 Google API 身份验证，并向这些 API 发送请求。借助应用默认凭据，您可以在本地测试应用并部署它，无需更改底层代码。有关详情，请参阅<atrack-type="commonincludes" l10n-attrs-original-order="href,track-type,track-name" l10n-encrypted-href="WDE63JFVMK0YqIWBqG8nCycgwkRfOeEqRvzYs1N+2tJUEhcZvE5VtDH5LoWw0lj/" track-name="referenceLink">使用客户端库进行身份验证</atrack-type="commonincludes">。

14. 为您的 Google 账号创建本地身份验证凭据：

    gcloud auth application-default login

此外，请确保您已安装客户端库。

启用对 Cloud Key Management Service 密钥的访问权限

Speech-to-Text 使用服务账号访问您的 Cloud KMS 密钥。默认情况下，服务账号无权访问 Cloud KMS 密钥。

服务账号电子邮件地址如下所示：

[e-mail]

若要使用 Cloud KMS 密钥加密 Speech-to-Text 资源，您可以向此服务账号授予 roles/cloudkms.cryptoKeyEncrypterDecrypter 角色：

gcloud projects add-iam-policy-binding PROJECT_NUMBER \
    --member=serviceAccount:[e-mail] \
    --role=roles/cloudkms.cryptoKeyEncrypterDecrypter

如需详细了解项目 IAM 政策，请参阅管理对项目、文件夹和组织的访问权限

如需详细了解如何管理对 Cloud Storage 的访问权限，请参阅 Cloud Storage 文档中的创建和管理访问控制列表。

指定加密密钥

下面的示例展示了如何使用 Config 资源向 Speech-to-Text 提供加密密钥：

Python

from google.cloud.speech_v2 import SpeechClient
from google.cloud.speech_v2.types import cloud_speech

def enable_cmek(
    project_id: str,
    kms_key_name: str,
) -> cloud_speech.RecognizeResponse:
    """Enable CMEK in a project and region."""
    # Instantiates a client
    client = SpeechClient()

    request = cloud_speech.UpdateConfigRequest(
        config=cloud_speech.Config(
            name=f"projects/{project_id}/locations/global/config",
            kms_key_name=kms_key_name,
        ),
        update_mask={"paths": ["kms_key_name"]},
    )

    # Updates the KMS key for the project and region.
    response = client.update_config(request=request)

    print(f"Updated KMS key: {response.kms_key_name}")

    return response

在项目的 [Config] 资源中指定加密密钥时，系统会使用此密钥对在相应位置创建的所有新资源进行加密。如需详细了解加密的内容和时间，请参阅加密页面。

加密资源在 Speech-to-Text API 响应中填充 kms_key_name 和 kms_key_version_name 字段。

移除加密

为了防止使用加密密钥队将来的资源进行加密，请使用上面的代码并在请求中提供空字符串 ("") 作为密钥。这样可以确保新资源不会被加密。此命令不会解密现有资源。

密钥轮替和删除

轮替密钥时，使用先前版本的 Cloud KMS 密钥加密的资源仍使用该版本进行加密。密钥轮替后创建的任何资源都会使用密钥的新默认版本进行加密。密钥轮替后（使用 Update* 方法）更新的任何资源都会使用新的密钥版本进行重新加密。

删除密钥时，Speech-to-Text 无法解密您的数据，也无法创建资源或访问使用删除的密钥加密的资源。同样，撤消密钥的 Speech-to-Text 权限时，Speech-to-Text 无法解密您的数据，也无法创建资源或访问使用撤销了 Speech-to-Text 权限的密钥加密的资源。

重新加密数据

若要重新加密资源，您可以在更新 Config 资源中的密钥规范后为每个资源调用相应的 Update* 方法。

清理

为避免因本页中使用的资源导致您的 Google Cloud 账号产生费用，请按照以下步骤操作。

1. 可选：撤消您创建的身份验证凭据，并删除本地凭据文件。

   gcloud auth application-default revoke

2. 可选：从 gcloud CLI 撤消凭据。

   gcloud auth revoke

控制台

警告：删除项目会产生以下影响

• 项目中的所有内容都会被删除。如果您将现有项目用于本文档中的任务，则删除该项目后，还将删除您已在该项目中完成的任何其他工作。
• 自定义项目 ID 丢失。创建此项目时，您可能创建了要在将来使用的自定义项目 ID。要保留使用该项目 ID 的网址（例如 appspot.com 网址），请删除项目内的所选资源，而不是删除整个项目。

如果您打算探索多个架构、教程或快速入门，则重复使用项目可以帮助您避免超出项目配额限制。

在 Google Cloud 控制台中，进入管理资源页面。

转到“管理资源”

在项目列表中，选择要删除的项目，然后点击删除。

在对话框中输入项目 ID，然后点击关闭以删除项目。

gcloud

警告：删除项目会产生以下影响

• 项目中的所有内容都会被删除。如果您将现有项目用于本文档中的任务，则删除该项目后，还将删除您已在该项目中完成的任何其他工作。
• 自定义项目 ID 丢失。创建此项目时，您可能创建了要在将来使用的自定义项目 ID。要保留使用该项目 ID 的网址（例如 appspot.com 网址），请删除项目内的所选资源，而不是删除整个项目。

如果您打算探索多个架构、教程或快速入门，则重复使用项目可以帮助您避免超出项目配额限制。

删除 Google Cloud 项目：

gcloud projects delete PROJECT_ID

后续步骤

• 详细了解在 Speech-to-Text 中指定加密密钥时加密的内容。
• 了解如何转写流式传输音频。
• 了解如何转写长音频文件。
• 练习转写短音频文件。
• 如需了解关于最佳性能、准确率和其他方面的提示，请参阅最佳实践文档。